Boardletter Rhenen

Gemeente Rhenen Boardletter 2023 Concept

Aan de leden van de gemeenteraad van gemeente Rhenen Postbus 201 3910 AE Rhenen Utrecht, xx januari 2024

Geachte leden van de gemeenteraad, Als onderdeel van de jaarrekeningcontrole 2023 hebben wij in het najaar van 2023 de interim-controle voor uw organisatie uitgevoerd. Deze tussentijdse controle is gericht op onderwerpen die van belang zijn voor een goede en betrouwbare jaarverslaggeving. Naar aanleiding van deze interim-controle informeren wij u in deze boardletter over onze belangrijkste bevindingen.

Wij vertrouwen erop met deze rapportage een zinvolle bijdrage te leveren aan het (verder) verbeteren van de interne beheersing van het planning & controleinstrumentarium binnen uw organisatie. In deze boardletter hanteren wij de volgende indeling: 1. Introductie 2. Samenvatting 3. Algeheel beeld interne beheersing 4. IT-Omgeving 5. Bevindingen interim-controle Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Hoogachtend, Flynth Audit B.V.

J. Smit RA

Flynth Audit B.V. is lid van BKR International. Bankrekeningnummer IBAN NL67 RABO 0106 6642 20 - BIC: RABONL2U. Handelsregister 09063021. www.flynth.nl Dienstverlening vindt plaats onder algemene voorwaarden, op aanvraag verkrijgbaar en gedeponeerd bij de KvK in Arnhem.

boardletter 2023 gemeente Rhenen

-1-

Introductie

Introductie

In het kader van uw verstrekte opdracht tot de controle van de jaarrekening 2023 brengen wij u verslag uit van onze belangrijkste bevindingen naar aanleiding van onze interim-controle die wij onlangs hebben uitgevoerd. Het doel van de rapportage is u in staat om maatregelen te nemen zodat u uw interne beheersing kan verbeteren en de betrouwbaarheid van de financiële informatie te borgen en/of te optimaliseren. Wij richten ons bij de interim-controle voornamelijk op de opzet, het bestaan en de werking van het stelsel van administratieve organisatie en maatregelen van de interne beheersing. Onze interim-controle kijkt niet verder dan de noodzakelijke elementen voor de jaarrekening 2023. Daarbij beoordelen wij voornamelijk de opgenomen maatregelen van administratieve organisatie en interne beheersing binnen de belangrijkste processen, die zijn gericht op het waarborgen van een betrouwbare informatievoorziening zowel binnen uw gemeente als naar buiten toe aan derden. Wij beseffen ons dat onze boardletter in beginsel positief-kritisch is. Wij rapporteren enkel over de eventuele leemten of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en daarin opgenomen maatregelen van interne beheersing. Wij geven in onze boardletter aan hoe de administratieve organisatie en interne beheersing kan worden verbeterd.

Wij lichten u graag onze zienswijze op de beheersmaatregelen in relatie tot de aanbevelingen en adviezen toe. Onze werkzaamheden zijn erop gericht een oordeel te kunnen geven over de jaarrekening 2023 van uw organisatie en zijn niet gericht op het opsporen van fraudes of onregelmatigheden in uw organisatie. De rapportage is beperkt tot de punten die voortvloeien uit onze reguliere werkzaamheden. In onze controleverklaring gaan wij in op de uitgevoerde controlewerkzaamheden met betrekking tot frauderisico’s. De managementletter, waaruit de boardletter is voortgekomen, hebben wij op 18 en 20 december 2023 besproken met verschillende personen binnen de ambtelijke organisatie. Flynth Audit B.V. is lid van BKR International. Bankrekeningnummer IBAN NL67 RABO 0106 6642 20 - BIC: RABONL2U. Handelsregister 09063021. www.flynth.nl Dienstverlening vindt plaats onder algemene voorwaarden, op aanvraag verkrijgbaar en gedeponeerd bij de KvK in Arnhem.

boardletter 2023 gemeente Rhenen

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

Aandachtspunten jaarrekening controle

Belangrijke ontwikkelingen

Samenvatting

Samenvatting Algemeen beeld Wij hebben de organisatie leren kennen als een organisatie die in ontwikkeling is. De gemeente is bezig om een verbeterplan op te stellen om de interne beheersing alsmede het afsluitproces te verbeteren. Wij onderschrijven deze door de gemeente genomen actie. Aandachtspunt die wij onderkennen ten aanzien van het verbeterplan is een realistische en haalbare planning op te stellen waarbij rekening wordt gehouden met wat de organisatie aan kan. Ten aanzien van de rechtmatigheidsverantwoording heeft de gemeente de keuze gecontinueerd om de VIC en voor komend jaar ook de werkzaamheden voor de rechtmatigheidsverantwoording uit te besteden aan een externe partij. Wij hebben vastgesteld dat de juiste acties zijn uitgezet.

Introductie

Samenvatting

De bevindingen die wij hebben gedaan in deze boardletter dienen te worden gezien als aanbevelingen om de interne beheersing verder door te ontwikkelen. Wij hebben geen bevindingen ten aanzien van de onvervangbare interne beheersing. Belangrijk aandachtspunt richting de jaarrekeningcontrole is dat wij tijdig over de juiste en kwalitatief toereikende controleinformatie kunnen beschikken. Voor de uitgevoerde interim-controle geldt dat hier niet aan is voldaan waardoor het voor zowel de gemeente als ons voor ons een intensief traject is. Mocht dezelfde situatie zich voordoen bij de jaarrekeningcontrole zal dit van invloed zijn op het controletraject en kunnen wij de jaarrekeningcontrole mogelijk niet tijdig afronden.

Algeheel beeld interne beheersing

IT-Omgeving Bevindingen interim-controle

Rechtmatigheidsverantwoording

Naar aanleiding van de interim-controle, zie sheet 20 voor nadere achtergrond, hebben we de volgende bevindingen:

•

De belangrijkste stappen rondom de rechtmatigheidsverantwoording zijn gezet.

- Inkopen; ontbreken geformaliseerd beleid ten aanzien van controle prestatielevering.

•

De gemeente is gestart met de uitvoering van de verbijzonderde interne controle (VIC). Aandachtspunt die wij onderkennen is tijdige uitvoering en afronding van deze werkzaamheden.

•

De huidige scoping dient op basis van de realisatie geëvalueerd te worden. Uiteindelijk dienen alle materiële stromen in de controle te worden betrokken waarbij zowel de getrouwheid als de rechtmatigheid wordt afgedekt in de controle. Wijze waarop de scoping wordt bepaald is adequaat.

•

Door het ontbreken van een M&O beleid is het van belang dat hier in de uitvoering wel specifiek aandacht aan wordt besteed en dat wordt onderbouwd hoe dit is ondervangen. Dit omdat M&O één van de rechtmatigheidscriteria is waar verantwoording over moet worden afgelegd.

- Inkopen; facturen < € 10.000 geldt geen 4-ogen principe. - Financieel afsluitproces; niet tijdig kunnen beschikken over toereikende controle-informatie. - Inkopen; onvoldoende zichtbare controle bij wijzigen crediteurenstamgegevens. - Omgevingsvergunningen; geen functiescheiding / controle of vergunning terecht is verleend. - Aanbestedingen; risico dat er niet wordt voldaan aan de vigerende aanbestedingsregels. - WMO/ jeugd; prestatielevering kan niet worden vastgesteld doordat deze geen onderdeel is van het proces. - Subsidieverstrekkingen; geen sprake van een uniform proces.

boardletter 2023 gemeente Rhenen

Bevindingen interimcontrole

Samenvatting IT-omgeving Belangrijkste ontwikkeling in 2023 is de ontvlechting van de IT geweest van gemeente Veenendaal. Gemeente Rhenen is momenteel nog druk bezig met het opzetten van een nieuw netwerkbeheer welke de huidige IT systemen ondersteund. De deadline om het netwerk op orde te krijgen is 1 januari 2024 in verband met de huidige licenties. Dit betekent dat de gemeente op IT-gebied ‘’offline’’ gaat als deze deadline niet behaald wordt. Het niet behalen van de deadline heeft materiële gevolgen ten aanzien van met name de continuïteit van de geautomatiseerde gegevensverwerking. Wij begrijpen van de organisatie dat de deadline is behaald.

Introductie

Aandachtspunten jaarrekeningcontrole •

•

Het is van groot belang dat de gemeente de tijdige realisatie van het netwerkbeheer monitort en daar waar nodig aanvullende acties neemt om de deadline te realiseren. In het accountantsverslag zullen wij rapporteren over de continuïteit en betrouwbaarheid van de geautomatiseerde gegevensverwerking.

Belangrijke ontwikkelingen •

Invoering omgevingswet per 1-1-2024: gemeente heeft zich voorbereid op de implementatie van de omgevingswet, o.a. door een instructieprogramma door de projectgroep.

•

Verplichting energielabel voor kantoorgebouwen: Er wordt voldaan aan de vereisten door de gemeente.

•

Met betrekking tot de Wet Inburgering 2021 wordt verwacht specifiek aandacht aan te besteden binnen het M&Obeleid. Naleving hiervan en de effectiviteit wordt vastgesteld bij de controle van de SiSa-verantwoording.

•

Ontvlechting van IT-beheer per 1 juli 2023 van gemeente Veenendaal naar gemeente Rhenen.

boardletter 2023 gemeente Rhenen

•

Het nieuwe verantwoordingsmodel van de WNT is beschikbaar. Wij adviseren u om deze 1 op 1 terug te laten komen in de jaarrekening 2023. Als onderdeel van de CAO 2023 is de RVU (Regeling Vervroegde Uittreding) geïntroduceerd. De organisatie heeft inmiddels geïnventariseerd welke medewerkers willen deelnemen aan deze regeling. Voor de jaarrekening is het nog van belang om de juiste financiële vertaling te maken. Wij hebben met de ambtelijke organisatie in detail de aandachtspunten voor de jaarrekeningcontrole gedeeld.

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

Algeheel beeld interne beheersing

Algeheel beeld interne beheersing Procesmonitor Proces

Status 2023

Status 2022

Bevinding

Financial reporting (P&C Cyclus)

12

Inkopen

1, 2, 3 en 4

Aanbestedingen

13

Betalingen

5

Treasury

6

Introductie

Samenvatting

Personeel en salarisadministratie Omgevingsvergunningen

7 en 8

Subsidieverstrekkingen

11

Verhuur en pachten

9

Wet maatschappelijke ondersteuning (WMO)

10

Jeugdhulp

10

Algeheel beeld interne beheersing

IT-Omgeving

Uitkeringen Grondexploitatie

Bevindingen interimcontrole

Toelichting Wij hebben in bovenstaand overzicht aangegeven wat de kwaliteit van het primaire proces is. Oranje wil zeggen dat niet alle risico’s zichtbaar in het proces worden afgedekt. Dit kan bijvoorbeeld komen doordat een controle onvoldoende zichtbaar is of omdat het een bewuste keuze is om een bepaald risico te accepteren omdat het bijvoorbeeld te veel inspanning kost om het risico in het proces zelf te mitigeren. Slot- en sluitstuk van de gemeente is de verbijzonderde interne controle (VIC). De VIC stelt achteraf gegevensgericht vast of transacties op een juiste manier tot stand zijn gekomen en zijn verwerkt in de administratie.

Toelichting De inrichting van het proces is zodanig dat een (deels)systeem gerichte controle mogelijk is. De systeem gerichte controle is alleen mogelijk wanneer proces opzet is beschreven waardoor er sprake is van een uniforme werkwijze, de IT passende maatregelen heeft, toereikende en zichtbare interne beheersing en de VIC de werking heeft vastgesteld. De inrichting van het proces voldoen gedeeltelijk, maar de risico’s die ermee samenhangen, vormen geen directe bedreiging voor de bedrijfsprocessen en de risico’s zijn met aanvullende gegevensgerichte werkzaamheden af te dekken. De inrichting van het proces voldoet niet en geeft aanvullende wezenlijk aanvullende risico’s voor de jaarrekening controle. boardletter 2023 gemeente Rhenen

-1-

Algeheel beeld interne beheersing Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid van de jaarrekening. Aan de jaarrekening liggen processen ten grondslag die we hebben beoordeeld bij de interim-controle. We willen u ook graag informeren over het procesoverstijgende beeld dat we hebben verkregen tijdens de uitvoering van onze werkzaamheden en de voor u relevante onderwerpen hieruit.

Introductie

Samenvatting Onderdeel

Toelichting

Risicoanalyse

We zien ten opzichte van de risico inschatting in ons auditplan geen materiele wijzigingen. In samenhang met de geconstateerde bevindingen komen we net als u in het interne controleplan tot de conclusie dat de controle gegevensgericht uitgevoerd moet worden. De jaarrekening controle zal daardoor een intensieve samenwerking worden, waarbij wij gebruik maken van de Verbijzonderde Interne Controles (VIC) van de gemeente. Deze aanpak is niet anders dan voorgaande jaren.

Verbijzonderde Interne controle (VIC)

Ten aanzien van de risicoanalyse zoals door de gemeente is opgesteld en de gehanteerde uitgangspunten geldt dat wij deze in belangrijke mate kunnen onderschrijven. Bij de jaarrekeningcontrole alsmede voor afronding van de controle zullen wij de risicoanalyse evalueren en indien nodig bijstellen.

IT-Omgeving

We hebben kennis genomen van het interne controle plan en zien dat hierin voldoende richting wordt gegeven aan de rechtmatigheidsverantwoording. De gemeente ligt op schema om de wijzigingen van de verschillende verordeningen tijdig afgerond te krijgen. Wij hebben nog geen VIC werkzaamheden kunnen betrekken in onze controle omdat deze nog niet gereed zijn. De afronding van de VIC werkzaamheden sluit aan op de planning van de jaarrekeningcontrole. Het is van groot belang dat de meeste verbijzonderde interne controles, bijvoorbeeld eerste 9 tot 10 maanden, uiterlijk in december gereed zijn zodat wij deze voor de feitelijke jaarrekeningcontrole kunnen betrekken in onze werkzaamheden.

Bevindingen interimcontrole

We adviseren u de VIC een belangrijke rol te geven bij de ontwikkeling van de processen, zodat de controles meer preventief dan repressief worden. Het gevolg zal zijn dat de uitgevoerde controles effectiever en efficiënter worden voor uw organisatie doordat meer vooraf wordt gecontroleerd in plaats van dat er achteraf wordt vastgesteld dat een transactie getrouw en rechtmatig is geweest. Belangrijkste aandachtspunten daarbij zijn: - Evaluatie (zichtbaar) op basis van de realisatie 2023 dat alle materiële stromen/ posten zijn betrokken in de verbijzonderde interne controle. - Bevindingen op een juiste wijze evalueren en bepalen wat de impact van de bevinding op de verdere werkzaamheden is alsmede de opgestelde risicoanalyse. - Beheersing van de IT onderdeel laten zijn van de VIC.

boardletter 2023 gemeente Rhenen

Algeheel beeld interne beheersing

Algeheel beeld interne beheersing Onderdeel Frauderisicoanalyse

Toelichting Wij raden u aan bij het identificeren van de frauderisico’s binnen uw gemeente specifiek gebruik te maken van de fraudedriehoek. De fraudedriehoek kent de elementen gelegenheid, rationalisatie en druk en is een goed hulpmiddel om frauderisicofactoren in beeld te krijgen.

Introductie

Samenvatting

De frauderisicoanalyse is momenteel in voorbereiding. Bij de jaarrekening zullen wij hier nader over rapporteren. Wij vragen zodra de frauderisicoanalyse er is om deze continue te blijven actualiseren en daarmee een onderdeel te laten zijn van de P&C cyclus. Daarnaast vragen wij de aandacht om binnen de organisatie actief aandacht te blijven vragen voor, en op bijvoorbeeld afdelingsniveau de gesprekken te voeren, welke frauderisico’s zij onderkennen en ervaringen uit te wisselen. Rechtmatigheidsverantwoording

De organisatie heeft de nodige stappen gezet om alle kaders voor de rechtmatigheidsverantwoording te actualiseren. Er is een interne controleplan waarin de aanpak is uitgewerkt. De werkzaamheden worden op een gestructureerde wijze uitgevoerd en afgestemd met de gemeente. Daarnaast zijn diverse verordeningen geactualiseerd en zijn deze in route gebracht voor tijdige besluitvorming. De verwachting is dat alle kaderstellende documenten eind 2023 definitief afgerond en vastgesteld zijn. Daarmee is een goede stap gezet in relatie tot de rechtmatigheidsverantwoording. De uitvoering van de rechtmatigheidsverantwoording is voor een belangrijk deel belegd bij de verbijzonderde interne controle. De gemeente heeft net als voorgaande jaren er bewust voor gekozen om de uitvoering van de VIC te beleggen bij een externe partij. Hierbij hebben wij geconstateerd dat de VIC haar werkzaamheden verricht op basis van een opgesteld controleplan. De werkzaamheden die hierin opgenomen zijn, zijn bepaald op basis van een risico inschatting vooraf, waarbij de kaders van de rechtmatigheidsverantwoording een belangrijk aspect zijn. Met de werkzaamheden van de VIC wordt het voorwaardencriterium ondervangen. Daarnaast neemt de VIC, in lijn met de vereisten van de rechtmatigheidsverantwoording, dit jaar ook de werkzaamheden mee omtrent de begrotingsrechtmatigheid en investeringskredieten.

Aandachtspunt dat wij nog onderkennen is de controle ten aanzien van het M&O (misbruik en oneigenlijk gebruik) criterium. Er is geen M&O beleid. Daarnaast wordt met betrekking tot de Wet Inburgering 2021 verwacht dat er specifiek aandacht wordt besteed aan het M&O-beleid. Naleving hiervan en de effectiviteit wordt vastgesteld bij de controle van de SiSa-verantwoording.

boardletter 2023 gemeente Rhenen

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

Algeheel beeld interne beheersing Onderdeel Rechtmatigheidsverantwoording

Toelichting Wij adviseren een M&O beleid op te stellen dan wel te actualiseren. Voor 2023 verwachten wij dat er een controlememo wordt opgesteld waarin uiteen wordt gezet op welke wijze en met welke werkzaamheden het M&O criterium is gecontroleerd.

Wij onderschrijven de keuze van de gemeente om de VIC werkzaamheden en de rechtmatigheidsverantwoording te beleggen bij een externe partij. Op basis van de ontvangen informatie en gevoerde gesprekken met de externe partij hebben wij er vertrouwen in dat de juiste werkzaamheden worden uitgevoerd om te komen tot de rechtmatigheidsverantwoording. Wij zien daarmee uw invulling van de rechtmatigheidsverantwoording met vertrouwen tegemoet. Belangrijkste aandachtspunten rechtmatigheidsverantwoording

De belangrijkste aandachtspunten inzake de rechtmatigheidsverantwoording zijn: - Voortgang en tijdige afronding van de VIC werkzaamheden; - Aandacht voor rechtmatigheidscriterium M&O; - Op basis van realisatie over het boekjaar vaststellen dat voldoende werkzaamheden zijn uitgevoerd; - Evalueren van fouten/ bevindingen en de impact hiervan bepalen op de verdere werkzaamheden.

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Op de volgende pagina hebben wij weergegeven wat de status is van de verschillende stappen die genomen dienen te worden rondom de rechtmatigheidsverantwoording.

Bevindingen interimcontrole

boardletter 2023 gemeente Rhenen

Algeheel beeld interne beheersing Status rechtmatigheidsverantwoording Zoals in het voorgaande hoofdstuk toegelicht, zijn er diverse stappen genomen ten behoeve van de invoering van de rechtmatigheidsverantwoording. Wij hebben onderstaand in kaart gebracht wat de stand van zaken is van de belangrijkste stappen die genomen dienen te worden.

Introductie

Kaderstelling & besluitvorming Actualiseren financiële verordening (art. 212)

Samenvatting

Actualiseren controleverordening (art. 213) Aanpassen controleprotocol (art. 213a) Actualiseren en vaststellen normenkader

Algeheel beeld interne beheersing

Opstellen toetsingskader Opstellen M&O-beleid Bewuste keuze uitvoering

Uitvoering Bepaling scoping van de VIC Werkprogramma’s alle posten/stromen

Materialiteit/ verantwoordingsgrens Risicoanalyse op post niveau Opzet en bestaan processen Opzet en bestaan processen IT Uitvoeren frauderisicoanalyse Controleaanpak bepalen per stroom/ post Foutenevaluatie bij bevindingen en effecten op de verantwoording Implementatie structurele verslaggeving VIC Verantwoordingen vanuit de eerste lijn

Bovenstaand overzicht is ontleend aan https://www.rechtmatigheidsverantwoording.nl/ boardletter 2023 gemeente Rhenen

IT-Omgeving

Bevindingen interimcontrole

IT omgeving

Ontwikkelingen IT-omgeving In 2023 heeft de gemeente Rhenen een belangrijke mijlpaal bereikt door haar IT-omgeving per 1 juli 2023 los te koppelen van gemeente Veenendaal en deze in eigen beheer te brengen. Aanleiding voor gemeente Rhenen om de DVO op te zeggen is dat gemeente zelf regie wil nemen in de ICT-voorziening. De gemeente Rhenen wil op onderdelen andere keuzes maken dan de gemeente Veenendaal, zoals overgang naar de Cloud en inzet van mensen en middelen. Niettemin zijn er ook enkele uitdagingen verbonden aan deze ontvlechting. Vanuit de IT-regisseur (welke de begeleiding heeft rondom de transitie) hebben wij begrepen dat de gemeente tot eind december 2023 de tijd heeft om het nieuwe Rhenen domein op orde te krijgen. Dit in verband met de huidige lopende licenties. Dit betekent dat de gemeente op IT-gebied ‘’offline’’ gaat als de deadline niet wordt behaald. Dit heeft materiële gevolgen ten aanzien van de continuïteit van de geautomatiseerde gegevensverwerking als de deadline niet wordt behaald. De IT-regisseur geeft aan dat het tijdig behalen van deze doelstelling realistisch is. Ondanks dat de doelstelling realistisch wordt geacht, adviseren wij de tijdige realisatie te monitoren en daar waar nodig aanvullende maatregelen te treffen. Wij begrijpen van de gemeente dat de deadline ten aanzien van het netwerk is gehaald.

Ten slotte heeft de gemeente nog geen goedgekeurd en actueel informatiebeleidsplan 2023 en verder. Wij begrijpen van de organisatie dat begin februari het informatiebeleidsplan wordt voorgelegd aan de raad. Daarnaast heeft de ontvlechting ook invloed op de General IT-controls en Baseline Informatiebeveiliging Overheid (BIO). Hierbij hebben wij geconstateerd dat er geen geformaliseerde procedureomschrijvingen zijn en/of deze niet kwalitatief op orde zijn ten aanzien van: • Back-up & restore; • Acces management; • Change management; • Incident management. De specifieke tekortkomingen zijn toegelicht in de opvolgende pagina’s. Naar aanleiding van de ontwikkelingen op IT-gebied zullen wij extra aandacht besteden aan de door het systeem gegeneerde lijstwerken. Doel hiervan is om de betrouwbaarheid van de lijstwerken te waarborgen middels onderliggende brondocumentaties.

boardletter 2023 gemeente Rhenen

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

IT-omgeving Tijdens de uitvoering van de interim-controle beoordelen we de ITomgeving in relatie tot de jaarrekening. De inzichten die wij verworven hebben uit de IT-omgeving in het kader van de jaarrekeningcontrole willen we graag met u delen voor logische toegangsbeveiliging en wijzigingen beheer op applicatieniveau en voor de continuïteit op organisatieniveau. Logische toegangsbeveiliging Netwerk

Autorisatiebeheer

Introductie Toelichting

De gemeente heeft het beheer van het netwerk middels een DVO tot 1 juli 2023 uitbesteed aan de gemeente Veenendaal. Na de ontvlechting is het ITbeheer ondergebracht bij de gemeente Rhenen zelf. Aandachtspunt is de continuïteit van het netwerk. Op basis van de huidige inrichting alsmede beschikbare capaciteit is het autorisatiebeheer nog niet toereikend ingericht. Hierdoor loopt de gemeente het risico dat onbevoegden toegang verkrijgen tot het netwerk dan wel dat de gemeente dit niet tijdig constateert. Wij adviseren te werken met een rollen/ rechten matrix en periodiek vast te stellen dat deze juist wordt gehanteerd en zo vermenging van functies te voorkomen.

Financiële administratie CODA

Single Sign On (SSO) is ingericht als er ingelogd wordt met het netwerkaccount op het IP-adres van de gemeente. Indien er ingelogd wordt met een ander IPadres wordt er ingelogd middels MFA (sms-controle). De inrichting van uw netwerkaccount is toereikend waardoor we hiervoor geen nader risico onderkennen. De autorisatie is verdeeld in groepen binnen de applicatie. Er is geen sprake van gestandaardiseerde rollen en rechten per functieprofiel. Wel vindt er logging plaats per gebruiker (inclusief superusers), maar moet de monitoring nog worden ingeregeld. Er is sprake van één superuser account in CODA genaamd ‘’INSTALL’’ welke wordt gedeeld door een medewerker van gemeente Rhenen en Unit4. Om vast te stellen dat er geen misbruik van het superuser account is gemaakt is het zaak dat de handelingen van dit account worden geanalyseerd.

boardletter 2023 gemeente Rhenen

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

IT-omgeving Logische toegangsbeveiliging Personeelsadministratie MotionPro

Autorisatiebeheer

Toelichting Single Sign On (SSO) is ingericht als er ingelogd wordt met het netwerkaccount op het IP-adres van de gemeente. Indien er ingelogd wordt met een ander IP-adres wordt er ingelogd middels MFA (sms-controle). De inrichting van uw netwerkaccount is toereikend waardoor we hiervoor geen nader risico onderkennen.

De personeelsadministratie wordt in een SaaSomgeving verzorgd door de leverancier. Uit de ISAE 3402 Type 2 verklaring blijkt voor boekjaar 2022 geen bedreiging van de continuïteit. We hebben geen indicatie verkregen dat het tijdens boekjaar 2023 is gewijzigd en verifiëren dat tijdens het voorjaar middels de actuele ISAE 3402 Type 2 verklaring bij de jaarrekeningcontrole. Jeugd/ WMO Zorgned

Single Sign On (SSO) is ingericht als er ingelogd wordt met het netwerkaccount op het IP-adres van de gemeente. Indien er ingelogd wordt met een ander IP-adres wordt er ingelogd middels MFA (sms-controle). De inrichting van uw netwerkaccount is toereikend waardoor we hiervoor geen nader risico onderkennen. De autorisatie is verdeeld in groepen binnen de applicatie. Er is geen sprake van gestandaardiseerde rollen en rechten per functieprofiel. Wel vindt er logging plaats per gebruiker (inclusief superusers), maar moet de monitoring nog worden ingeregeld.

boardletter 2023 gemeente Rhenen

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

Aandachtspunten jaarrekening controle

Belangrijke ontwikkelingen

IT-omgeving Onderdeel continuïteit

Kwaliteit

Fysieke beveiliging

Toelichting Bij de organisatie wordt gebruik gemaakt van een pasjes/badges-systeem omtrent de toegang van de niet publieke ruimte. Gezien de aard van de activiteiten worden de getroffen maatregelen toereikend geacht.

Remote access

Voor het inloggen vanaf een externe locatie op het netwerk of in de applicaties is de beveiligingsmaatregel in de vorm van tweefactor authenticatie actief. Het beheer van de maatregel wordt beheerd door de gemeente zelf.

Preventie

Een firewall en virusscanner zijn aanwezig binnen de gemeente Rhenen. Aanvullend worden er penetratietesten uitgevoerd door een onafhankelijke partij welke worden gedeeld middels een rapportage. Deze combinatie wordt toereikend geacht voor uw organisatie.

Monitoring

Ten aanzien van monitoring van activiteiten op het netwerk maakt de gemeente geen gebruik van een service organisatie met een SIEM & SOC oplossing. Dit is op dit moment intern belegd, waarbij de analyse handmatig plaatsvindt. Monitoring van dubieuze activiteiten worden enkel achteraf handmatig gecontroleerd. Dit kost de gemeente veel resources wat niet efficiënt en effectief is. De gemeente kan derhalve niet altijd waarborgen welke activiteiten plaatsvinden op het netwerk wat kan resulteren tot een potentiële cyberaanval / datalek. Dit is ook bevestigd vanuit de uitgevoerde penetratietest in 2023. Wij adviseren de gemeente een SIEM & SOC oplossing aan om hierin inzicht te verkrijgen.

BIO

Uit de werkzaamheden is gebleken dat de gemeente een GAP-analyse heeft uitgevoerd in kader van de baseline informatiebeveiliging overheden (BIO) en voor de risico’s ook beheersmaatregelen heeft onderkend. Wij adviseren de gemeente om de tekortkomingen met hoge impact voor de jaarrekeningcontrole te verhelpen.

Informatiebeveiligingsbeleid

We hebben kennisgenomen van uw informatiebeveiligingsbeleid. We hebben vastgesteld dat de laatst vastgestelde versie betrekking heeft op 2019-2022. De gemeente beschikt in concept een geactualiseerde versie over 2023 en verder, maar deze dient nog definitief te worden vastgesteld. Wij adviseren de gemeente om het geactualiseerde informatiebeveiligingsbeleid definitief vast te stellen.

Back-up

Er is geen sprake van een geformaliseerde back-up & recovery procedure bij gemeente Rhenen. Op basis van de GAP-analyse dient er periodiek getest worden of de back-up & recovery werkt. Dit is bij de gemeente niet het geval. Op basis hiervan achten we de kwaliteit in de huidige situatie niet toereikend. Evenals benoemd onder onderdeel ‘’BIO’’. Wij adviseren om een geformaliseerde proces op te stellen conform BIO-vereisten en de werking ervan periodiek te toetsen.

boardletter 2023 gemeente Rhenen

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

IT-omgeving Onderdeel continuïteit

Kwaliteit

Change management

Toelichting De gemeente maakt gebruik van SAAS applicaties. Betreffende SAAS partijen zijn zelf verantwoordelijk voor changes. De serviceorganisatie voert de wijziging volgens instructie uit met de gemeente. Het is van belang dat u zelf zichtbaar vaststelt dat de change op de juiste wijze heeft plaatsgevonden alvorens deze te accepteren.

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

boardletter 2023 gemeente Rhenen

Bevindingen Interim-controle

Bevindingen interim-controle De interim-controle was primair gericht op de opzet en het bestaan van de processen. Omdat geen effectieve beheersingsmaatregelen zijn onderkend hebben wij geen werkzaamheden ten aanzien van de werking van maatregelen van administratieve organisatie en interne beheersing uitgevoerd. De uitgevoerde werkzaamheden zijn verricht voor zover van belang voor onze controle.

Om te kunnen komen tot effectieve interne beheersingsmaatregelen is het beschrijven van de processen en daarbij het onderkennen van interne beheersingsmaatregelen een belangrijk uitgangspunt. Hiermee creëer je de basis voor een uniforme werkwijze. Een interne beheersingsmaatregel dient zichtbaar te worden uitgevoerd en volgens het principe van de 6 W’s (wie, wat, waarom, wanneer, waarmee en welk doel) te worden uitgewerkt. Op die manier kan de controle van een gegevensgerichte aanpak naar een meer systeemgerichte aanpak. Zowel de eerdere procesmonitor als de hieronder opgenomen bevindingen dienen in dat ligt te worden bezien. #

Bevinding

1.

Inkopen Geen beleid aanwezig over de vastlegging van de controle op prestatielevering

Impact

Constatering: Geen formeel beleid aanwezig over de wijze waarop de prestatielevering gecontroleerd en gedocumenteerd moet worden. Het gevolg is dat medewerkers het controleren aan een norm die ze zelf bepalen.

Aanbeveling: Intern beleid op te stellen hoe de controle op prestatielevering uitgevoerd en gedocumenteerd dient te worden. Bij het beleid rekening houden met notitie prestatielevering van de commissie BADO. Dit is tevens van belang omdat bij afwezigheid van de prestatieverklaarder deze vervangen kan worden door een andere prestatieverklaarder. Aanvullende werkzaamheden jaarrekening 2023: Steekproef op de inkopen waarbij achteraf alsnog de prestatielevering wordt vastgesteld. Inkopen

Constatering: Voor inkoopfacturen < € 10.000 geldt geen 4-ogen principe.

Facturen < € 10.000 geldt geen 4-ogen principe

Risico: Geen prestatie, het knippen van facturen waardoor lasten in de jaarrekening worden verantwoord waar geen prestatie tegenover staat of geen zakelijk prestatie. Aanbeveling: Jaarlijks evalueren of de gehanteerde grens nog passend is.

Aanvullende werkzaamheden jaarrekening 2023: De steekproef op de inkopen < € 10.000 dient met een verhoogd (significant) risicoprofiel te worden uitgevoerd. boardletter 2023 gemeente Rhenen

Samenvatting

Algeheel beeld interne beheersing

Risico en aanbeveling

Risico: Lasten verantwoord in de jaarrekening waarvoor geen prestatie is geleverd in het boekjaar.

2.

Introductie

IT-Omgeving

Bevindingen interimcontrole

Bevindingen interim-controle #

Bevinding

Impact

Risico en aanbeveling

3.

Inkopen

Constatering: Er is geen sprake van een verplichtingenadministratie.

Geen verplichtingenadministratie

Risico: Overschrijding van de toegekende/ beschikbare budgetten. Aanbeveling: Wij adviseren u een verplichtingenadministratie te hanteren. Hiervoor kan gebruik gemaakt worden van het verplichtingnummer dat bij voorkeur op de inkoopfacturen vermeld dient te worden. Dit zou dan een verplichting dienen te worden. Aanvullende werkzaamheden jaarrekening 2023: Zichtbare evaluatie of de verplichtingen zoals in de jaarrekening 2022 waren verantwoord volledig waren. Voor 2023 op voorhand uitvraag doen bij verschillende budgethouders en deze de verplichtingen ook laten onderbouwen. Aanvullend een voortgezette controle op de in 2024 binnengekomen facturen en daarvan zichtbaar vaststellen of ze aan het juiste boekjaar zijn toegerekend.

4.

Inkopen Wijzigingen en aanmaken crediteurenstamgegevens

Constatering: Tijdens de wijziging en het aanmaken van crediteuren stamgegevens wordt niet altijd zichtbaar gecontroleerd bij de leverancier of de wijziging van de bankgegevens terecht zijn.

Aanvullende werkzaamheden jaarrekening 2023: Het doortrekken van de inkoopcontrole tot aan de betalingen. Betalingsverkeer Zelfstandige betalingsbevoegdheden

Constatering: Voor één bankrekening hebben twee verschillende personen zelfstandige betalingsbevoegdheid. De omvang hiervan is € 500 of € 2.500. Risico: Risico op onrechtmatige betalingen.

Aanbeveling: Wij adviseren af te dwingen dat betalingen altijd conform het 4ogen principe moeten plaatsvinden. Aanvullende werkzaamheden jaarrekening 2023: Analyse van de betalingen van desbetreffende bankrekening ten einde vast te stellen dat er geen middelen ten onrechte zijn onttrokken aan de organisatie.

boardletter 2023 gemeente Rhenen

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Risico: Risico op onrechtmatige betalingen. Aanbeveling: De verificatie bij de crediteur schriftelijk laten bevestigen en de controle op de mutatie zichtbaar te maken en te documenteren.

5.

Introductie

Bevindingen interimcontrole

Bevindingen interim-controle #

Bevinding

6.

Betalingsverkeer Geen zichtbare controle op juiste betaalbestand

Impact

Risico en aanbeveling Constatering: Vanuit de financiële administratie wordt een betaalbestand gegenereerd. Het is mogelijk dat dit betaalbestand wordt aangepast alvorens deze in de bankomgeving wordt ingelezen.

Introductie Risico: Lasten (en betalingen) verantwoord in de jaarrekening die onrechtmatig zijn. Aanbeveling: Het advies om de interne controle op de hash en batch totalen aan te scherpen door deze zichtbaar vast te leggen.

7.

Omgevingsvergunningen Geen functiescheiding/ controle vergunning terecht is verleend

8.

Omgevingsvergunningen Opbrengsten mogelijk te laag

Werkzaamheden jaarrekening 2023: Steekproef op de betalingen waarbij wordt vastgesteld dat betalingen rechtmatig hebben plaatsgevonden (juiste bankrekeningnummer en juiste bedrag).

Algeheel beeld interne beheersing

Constatering: Er is niet in alle gevallen sprake van functiescheiding bij het toekennen / verlenen van omgevingsvergunningen. Daarnaast is de controle/ diepgang van controle niet altijd zichtbaar.

IT-Omgeving

Risico: Er ten onrechte een omgevingsvergunning wordt toegekend. Aanbeveling: Wij adviseren u risicogericht een zichtbare toetsing uit te voeren waarbij wordt vastgesteld dat vergunning terecht wordt verleend alsmede dat de leges conform verordening zijn berekend. Wij afspraken te maken hoe de toetsing zichtbaar wordt uitgevoerd.

Bevindingen interimcontrole

Aanvullende werkzaamheden jaarrekening 2023: Heroverwegen of onderkend risicoprofiel ten behoeve van de steekproef naar boven dient te worden bijgesteld. Indien dat niet nodig wordt geacht onderbouwen waarom gekozen risicoprofiel toereikend is in relatie tot de onderkende bevinding.

Aandachtspunten jaarrekening controle

Constatering: Voor het controleren van de opgegeven bouwsom (de grondslag voor de facturatie), wordt ter controle het kostentabel met bouwkosten voor 2022 gehanteerd. Indien uit deze controle blijkt dat bouwsom lager is dan de opgegeven bouwsom wordt er gefactureerd op basis van de lagere door de gemeente berekende bouwsom. Risico: Gemeente heeft de mogelijkheid, door de hoogste van de twee bouwsommen te hanteren, een hogere opbrengst te genereren. Aanbeveling: Wij geven u ter overweging om de hoogste van de bouwsommen als uitgangspunt te hanteren voor het te factureren bedrag. Aanvullende werkzaamheden jaarrekening 2023: geen

boardletter 2023 gemeente Rhenen

Samenvatting

Belangrijke ontwikkelingen

Bevindingen interim-controle #

Bevinding

9.

Verhuur

Onvoldoende functiescheiding

Impact

Risico en aanbeveling Constatering: In het proces rondom verhuur, aanpassingen van het contractenregister alsmede doorvoeren van indexaties, is geen functiescheiding aanwezig.

Introductie

Risico: Opbrengsten onvolledig zijn. Aanbeveling: Wij adviseren u wijzigingen in het contractenregister alsmede doorvoeren van indexaties conform het 4-ogen principe plaats te laten vinden. Daarnaast adviseren wij de volledigheid van het contractenregister periodiek vast te stellen door een aansluiting met de activastaat te maken. Aanvullende werkzaamheden jaarrekening 2023: Cijferanalyse ten opzichten van de begroting alsmede t.o.v. voorgaand jaar. Aantonen op basis van de activastaat dat alle objecten onderdeel zijn van het contractenregister en het gehele jaar zijn verhuurd dan wel de leegstand aantonen. 10

WMO / Jeugd Vaststellen prestatielevering met voldoende diepgang

Constatering: In het proces van WMO / Jeugd zijn werkzaamheden opgenomen om de prestatielevering van de zorgleveranciers vast te stellen. Het is van belang dat de gemeente o.b.v. de combinatie aan werkzaamheden die worden uitgevoerd vaststelt of dit voldoende is om de onzekerheid weg te nemen. Risico: Onvoldoende zekerheid ten aanzien van de prestatielevering door de zorgleveranciers. Aanbeveling: Wij adviseren u vast te stellen en in een controlememo uiteen te zetten wat de huidige werkzaamheden zijn ten aanzien van prestatielevering, hoe deze werkzaamheden zichtbaar zijn en waarom dit voldoende is om de prestatielevering vast te stellen. Aanvullende werkzaamheden jaarrekening 2023: De gemeente betrekt de werkzaamheden rondom de prestatielevering in de VIC en deze stelt vast dat de uitgevoerde werkzaamheden met voldoende diepgang en in overeenstemming met de SDO-Notitie “controle interne beheersing Jeugd en WMO” zijn uitgevoerd.

boardletter 2023 gemeente Rhenen

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

Bevindingen interim-controle #

Bevinding

11

Subsidieverstrekkingen Geen uniforme procedure

Impact

Risico en aanbeveling Constatering: Bij het beoordelen van de subsidieaanvragen en opstellen van de subsidiebeschikkingen is geen sprake van een uniforme werkwijze.

Introductie

Risico: Er worden ten onrechte subsidies verstrekt of de gestelde voorwaarden aan de subsidie zijn niet juist.

12

Financieel afsluitproces Organisatie kan niet tijdig en kwalitatief toereikend de gevraagde controle-informatie aanleveren

Aanbeveling: Wij adviseren u voor het gehele subsidieproces te komen tot een uniforme werkwijze waarbij zichtbaar wordt gecontroleerd dat aan de vigerende subsidievoorwaarden wordt voldaan.

Samenvatting

Aanvullende werkzaamheden jaarrekening 2023: Gegevensgerichte steekproef waarbij de terechte toekenning wordt vastgesteld.

Algeheel beeld interne beheersing

Constatering: Bij de jaarrekeningcontrole 2022 alsmede de interimcontrole 2023 hebben wij geconstateerd dat de verkregen controleinformatie niet altijd voldoet aan gestelde eisen of dat de aangeleverde informatie niet leidt tot beantwoording van de vraag.

IT-Omgeving

Risico: De jaarrekeningcontrole kan niet tijdig worden afgerond. Aanbeveling: Gemeente heeft reeds een verbetertraject in gang gezet. Dit is positief maar zal naar verwachting een beperkt effect hebben op de controle 2023. Aanvullende werkzaamheden jaarrekening 2023: Een realistische planning waarbij voldoende tijd is om de verkregen controle-informatie aan een kwaliteitstoets te onderwerpen.

boardletter 2023 gemeente Rhenen

Bevindingen interimcontrole

Bevindingen interim-controle #

Bevinding

13

Aanbestedingen Voldoen aan wet- en regelgeving rondom

Impact

Risico en aanbeveling Constatering: Er is geen sprake van een centrale inkoop. Gemeente heeft een contractenregister maar aandachtspunt is deze volledig te houden. Risico: Vanwege de complexiteit rondom de aanbestedingsregels is het risico dat hieraan niet wordt voldaan. Doordat het contractenregister niet volledig is, is het risico dat aanbesteding niet tijdig wordt gestart. Aanbeveling: Wij adviseren procedures te implementeren om de volledigheid van het contractenregister te waarborgen. Daarnaast adviseren wij om de inkopen centraal te organiseren. Aanvullende werkzaamheden jaarrekening 2023: Uitvoeren van de spendanalyse conform het format dat Pianoo ter beschikking heeft gesteld. Daarnaast bij de controle van de inkopen alsmede de spendanalyse vaststellen dat de contracten die daarbij worden betrokken in de controle juist en volledig zijn opgenomen in het contractenregister.

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole Bevinding

Impact

Toelichting

Hoog

Bevinding is van groot belang voor de kwaliteit van de administratieve organisatie en interne beheersing, waarbij een risico aanwezig is dat hierdoor de jaarrekening een afwijking van materieel belang kan bevatten of de organisatie kwetsbaar is voor fraude.

Midden

Bevinding is van belang voor de kwaliteit van de administratieve organisatie en interne beheersing, waarbij een risico aanwezig is dat hierdoor de jaarrekening een afwijking van materieel belang kan bevatten.

Laag

De opzet en het bestaan van de administratieve organisatie en interne beheersing is op orde. Met opvolging van deze bevinding kan de kwaliteit van de AO/IB nog verder worden vergroot en kunnen efficiencyslagen worden behaald.

boardletter 2023 gemeente Rhenen

Bevindingen uit voorgaande controles In de hieronder opgenomen tabel geven wij op het niveau van de individuele bevindingen uit voorgaande controles inzicht in de opvolging in boekjaar 2023. #

Bevinding

1.

2022 5.2 Fraude en corruptie, opstellen M&O beleid

Impact

Stand van zaken follow-up en conclusie

Introductie

Status 2023: Niet opgevolgd De gemeente heeft nog geen M&O beleid opgesteld. In dit kader verwijzen wij ook naar hetgeen eerder in deze boardletter is opgenomen ten aanzien van de rechtmatigheidsverantwoording.

Samenvatting

2022 5.3 Fraude en corruptie, fraudeen corruptierisicoanalyse

Status 2023: Onderhanden De gemeente is bezig met het opstellen van een frauderisicoanalyse. In dit kader verwijzen wij ook naar hetgeen eerder is opgenomen ten aanzien van de frauderisico analyse.

Algeheel beeld interne beheersing

2022 5.4 WPG, externe audit in het kader van de WPG is nog niet afgerond

Status 2023: Onderhanden De audit is afgerond. Aandachtspunt is de juiste opvolging te geven aan de geconstateerde bevindingen.

IT-Omgeving

4.

2022 5.5 Automatisering, ontbreken van actieve monitoring op de dienstverlening van ITleveranciers

Status 2023: Onderhanden Gemeente heeft in 2023 de IT van Veenendaal naar de gemeente zelf gehaald. Dit brengt de nodige uitdagingen met zich mee. Onderdeel van deze overgang is dat de gemeente ook de dienstverlening van IT leveranciers gaat monitoren en de ISAE 3402 rapporten beoordeelt.

5.

2022 5.6 Huren, foutgevoeligheid contractenregister

Status 2023: Onderhanden Deze bevinding is nog onderhanden. Zie in dit kader ook bevinding 8.

6.

2020 4.3 IT audits en controle processen i.p.v. stromen.

Status 2023: Onderhanden De uitvoering van de VIC is onderhanden en is net als voorgaande jaren op stromen en IT is onderbelicht. Zie in dit kader ook wat we eerder is benoemd over de verbijzonderde interne controle.

2.

3.

boardletter 2023 gemeente Rhenen

Bevindingen interimcontrole

Bevindingen uit voorgaande controles #

Bevinding

8.

2021 5.4 Inkopen, prestatielevering

9.

Impact

Stand van zaken follow-up en conclusie Status 2023: Onderhanden Beleid is nog niet geformaliseerd waardoor prestatielevering een aandachtspunt blijft. In dit kader verwijzen wij ook naar bevinding 1.

2021 5.10 IT analyse gebruikersaccountants

Status 2023: Onderhanden Gemeente heeft in 2023 de IT van Veenendaal naar de gemeente zelf gehaald. Dit brengt de nodige uitdagingen met zich mee. Onderdeel van deze overgang is dat de gemeente ook de inrichting van de rollen en rechten over gaat nemen.

10.

2021 5.6 Inkopen, functiescheiding

Status 2023: Niet opgevolgd Voor 2023 is de grens onveranderd gebleven. Dit betekent dat de VIC op deze stroom werkzaamheden met een significant risico dient uit te voeren. Zie ook bevinding 2.

11.

2021 5.7/10 Jeugdzorg/ WMO, prestatielevering en dossiervorming

Status 2023: Onderhanden Ten aanzien van de dossiervorming zien wij verbeteringen. Voor wat betreft de prestatielevering geldt dat dit nog geen onderdeel is van het proces, zie ook bevinding 10.

12.

2021 5.8 Jeugd/ WMO, zichtbaarheid controle facturen lokale zorg

Status 2023: Onderhanden Procedure is onderdeel van Zorgned en wordt betrokken in de VIC. Hiermee is voldoende opvolging gegeven aan de bevinding.

13.

2021 Jeugd/ WMO, formalisatie rechtmatigheidstoezicht zorgaanbieders

Status 2023: Onderhanden Beleidsplan is opgesteld. Implementeren van de procedures dient nog plaats te vinden.

Bevinding

Impact

Stand van zaken follow-up en conclusie

Hoog

Bevinding is van groot belang voor de kwaliteit van de administratieve organisatie en interne beheersing, waarbij een risico aanwezig is dat hierdoor de jaarrekening een afwijking van materieel belang kan bevatten of de organisatie kwetsbaar is voor fraude.

Midden

Bevinding is van belang voor de kwaliteit van de administratieve organisatie en interne beheersing, waarbij een risico aanwezig is dat hierdoor de jaarrekening een afwijking van materieel belang kan bevatten.

Laag

De opzet en het bestaan van de administratieve organisatie en interne beheersing is op orde. Met opvolging van deze bevinding kan de kwaliteit van de AO/IB nog verder worden vergroot en kunnen efficiencyslagen worden behaald.

Afgerond

De bevinding is afgerond.

boardletter 2023 gemeente Rhenen

Introductie

Samenvatting

Algeheel beeld interne beheersing

IT-Omgeving

Bevindingen interimcontrole

Disclaimer en beperking in gebruik en verspreidingskring Deze reflectie interim-controle is alleen bestemd voor het management van gemeente Rhenen en mag niet in zijn geheel of gedeeltelijk worden verstrekt of aangehaald zonder onze schriftelijke toestemming vooraf. Er wordt geen verantwoordelijkheid aan een derde partij geaccepteerd, omdat dit verslag daar niet voor opgesteld en bedoeld is. Dientengevolge nemen wij geen enkele verplichting of plicht van zorg aan ieder ander persoon aan wie dit verslag getoond of in zijn handen komt, op ons. De in dit verslag aan de orde gestelde onderwerpen zijn door ons geconstateerd gedurende onze controleopdracht waarvan wij van mening zijn dat zij aandacht van het management behoeven. Het is geen allesomvattend verslag van alle geconstateerde zaken en in het bijzonder kunnen wij niet verantwoordelijk worden gesteld voor het rapporteren van alle bedrijfsrisico’s of tekortkomingen in het systeem van interne beheersing. Elke conclusie, opinie of opmerking in dit verslag is verstrekt in de context van onze controleverklaring over de jaarrekening als geheel. Evenzo geldt dat de opmerkingen, bevindingen en aanbevelingen met betrekking tot het systeem van interne beheersing niet gelezen dienen te worden als een afzonderlijke opinie van het systeem van interne beheersing en haar werking. boardletter 2023 gemeente Rhenen